Kimsuky、海産物の購入依頼を装ったLNK攻撃でBackblaze B2を悪用して情報を窃取
海産物の購入依頼を装うKimsuky攻撃、LNKファイルから悪意あるスクリプトを実行
AhnLabは最近、Kimsukyグループによる新たな攻撃手法を確認した。今回の攻撃では、海産物の購入依頼を装った悪意のあるLNKファイルが使用されている。ユーザーがLNKファイルを実行すると、正規のHWP文書が表示される一方、バックグラウンドでは悪意のあるスクリプトが実行され、システム情報を外部へ送信するとともに、追加の命令を受信して実行する。
攻撃に使用されるLNKファイルはPowerShellを実行し、グローバルIPアドレスやユーザー名、OS情報などのシステム情報を収集する。収集した情報の送信先にはBackblaze B2クラウドストレージが利用されており、攻撃者は正規のクラウドサービスを情報の送信や後続の命令実行に関わる通信経路として悪用している。Kimsukyがこれまで使用してきたLNKファイルを利用する攻撃手法に、クラウドサービスを組み合わせることで通信を通常のクラウドトラフィックに紛れ込ませている。
「MoiClient」バックドア、BYOVDとUAC回避でセキュリティ機能を妨害
AhnLabは今回の分析で、「MoiClient」と呼ばれる別のバックドアも確認した。MoiClientは正規ファイルを装ってシステムに侵入し、BYOVD（Bring Your Own Vulnerable Driver）やUAC（User Account Control）回避の手法を利用する。これらの機能を通じてセキュリティ製品の動作を妨害し、マルウェアを継続的に実行してユーザー情報を窃取する。
攻撃では、特定のプロセスを14分間隔で繰り返し実行するスケジュールタスクも利用される。これにより感染後の実行環境を維持しながら、後続の悪意ある活動を継続できるようにする。また、システム上に残るログや痕跡を抑え、セキュリティ製品による検知を回避するための処理も行われる。
不審なLNKファイルやスケジュールタスクの監視が検知の手掛かりに
今回の攻撃では、LNKファイルやPowerShell、スケジュールタスクに加え、正規のクラウドサービスや脆弱なドライバーなど、複数の要素が攻撃チェーンに組み込まれている。組織では、不審なLNKファイルの実行や通常とは異なるPowerShellの動作、未知のスケジュールタスクなどを監視することが検知の手掛かりとなる。また、BYOVDに利用される脆弱なドライバーの読み込みや、セキュリティ製品を無効化する不審な動作についても確認する必要がある。
